正文

EM-HTTP-Request任意代码执行漏洞

admin
admin V管理员 /0 评论 /13 阅读
0418
此篇文章发布距今已超过1110天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2020-13482

利用情况

暂无

补丁情况

官方补丁

披露时间

2020-05-26
漏洞描述
EM-HTTP-Request是美国Ilya Grigorik软件开发者的一款异步HTTP客户端，它支持自动gzip和deflate解码、流响应处理、流式上传文件和身份验证等功能。<br /> EM-HTTP-Request 1.1.5版本中存在任意代码执行漏洞。该漏洞源于未验证TLS服务器证书中的主机名。攻击者可通过实施中间人攻击利用该漏洞冒充可信的服务器并注入恶意数据。
解决建议
厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://github.com/igrigorik/em-http-request
参考链接
https://github.com/igrigorik/em-http-request/issues/339
https://lists.fedoraproject.org/archives/list/[email protected]...
https://lists.fedoraproject.org/archives/list/[email protected]...
https://securitylab.github.com/advisories/GHSL-2020-094-igrigorik-em-http-request
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 em-http-request_project em-http-request 1.1.5 -
运行在以下环境
系统 fedora_32 rubygem-em-http-request * Up to
(excluding)
1.1.7-1.fc32
运行在以下环境
系统 fedora_32 rubygem-em-http-request-doc * Up to
(excluding)
1.1.7-1.fc32
运行在以下环境
系统 fedora_33 rubygem-em-http-request * Up to
(excluding)
1.1.7-1.fc33
运行在以下环境
系统 fedora_33 rubygem-em-http-request-doc * Up to
(excluding)
1.1.7-1.fc33
阿里云评分 3.3
  • 攻击路径 本地
  • 攻击复杂度 复杂
  • 权限要求 无需权限
  • 影响范围 有限影响
  • EXP成熟度 N/A
  • 补丁情况 官方补丁
  • 数据保密性 N/A
  • 数据完整性 传输被破坏
  • 服务器危害 无影响
  • 全网数量 N/A
CWE-ID 漏洞类型 CWE-295 证书验证不恰当